News NASA: Hacker erbeuten Daten per Raspberry Pi

[DerHotze]

Dann muss das Teil von außen erreichbar gewesen sein?
Ich denke das ist der wunde Punkt...

Keines meiner Geräte ist per default von außen zu erreichen.
Ich muss jedes in der FritzBox frei geben.

Ist das kein Standard?

 

[atroox]

Darf ich raten, es waren die Russen wie üblich

Ja, wie üblich

 

[Piktogramm]

@DerHotze
So eine Fritzbox ist Spielzeug, welches seinen Anwender an vielen Stellen davon abhält sich ins eigene Fleisch zu schneiden. Die Geräte für gehobene Ansprüche kennen solche Beschränkungen nicht.

Selbst wenn, wenn es dumm kommt baut irgendwer ein VPN, welches von Außen irgendwie Zugriffe erlaubt. Da ist die Fritzbox am Ende und mit den großen Netzwerklösungen wird es auch aufwendiger.

 

[BFF]

So wie ich das heraus raetsele, kann das Netzwerk der JPL nur mit nacktem Hintern am Internet gehangen haben bzw. haben die ein zusaetzliches Problem mit MIT.

https://www.heise.de/newsticker/mel...NASA-ermoeglichten-Hackerangriff-4453596.html

Da steht etwas mehr.

BFF

 

[Fragger911]

Naja, diese Missstände gibt es nicht erst seit dem Trump Wahlsieg bekannt bzw. herrschen dort, auch wenn man es ihm all zu gerne auch ankreiden möchte.

I know, so etwas kommt nicht über Nacht. Doch ist dieser Donald Duck so ziemlich das letzte was die Amis in der Situation brauchen, ein feister, eitler Pfau mit der Grazie eines besoffenen Elefanten mit Entwicklungsdefiziten.

Man kann nur hoffen es bleibt bei einer Amtszeit, eine Verlängerung würde nicht nur an der US-Südgrenze recht tödliche Folgen haben.

 

[Computerfuchs]

Uns ist es im Unternehmen AUSDRÜCKLICH untersagt, fremde Geräte (Access Points, gemanagte Switchtes, Notebooks/PCs, etc.) ins System einzubringen.

Fremde Geräte ist klar. Aber das schließt nicht aus, dass es firmeneigene, von der IT-Abteilung angeschafft und genehmigte Raspberries gibt. Oder was tust du, wenn du ein Forschungsprojekt zusammenbastelst, wo es unumgänglich ist, dass dort auch ein für diesen Zweck geeigneter Bastel-PC, aka Raspberry Pi, drin ist?

Neulich wurde ich von meinem Chef gefragt, ob Notebook XYZ meins wäre, welches im Gäste-WLAN hing. Ja, war es. Es blieb zum Glück bei einer mündlichen Aufforderung, das Gerät aus dem WLAN zu entfernen und entweder mein Firmennotebook zu verwenden, oder über meinen eigenen Hotspot ins Internet zu gehen.

Das ist ein bisschen lächerlich. Gäste-WLAN ist per Definition ein Zugang für fremde Menschen, die ihre eigenen Geräte dabei haben und dabei nicht an die Richtlinien der Firma gebunden sind (da sie ja gar keinen Vertrag mit der Firma haben, der ihnen in dieser Hinsicht irgendwas vorschreiben könnte). Folglich stellt Gäste-WLAN lediglich eine Verbindung zum Internet her und ist ansonsten sehr restriktiv von sämtlichen anderen Netzwerkservices isoliert. Wenn dann ein Mitarbeiter sich dort mit seinem eigenen Gerät einloggt, ist nicht ganz ideal (weil streng genommen noch immer ein Verstoß gegen das vertragliche Verbot), aber letztlich doch ziemlich egal.
Wenn die Firma das so eng sieht, ist fraglich, warum sie überhaupt ein Gäste-WLAN haben. Sofern sich alle daran halten, keine fremden Geräte dort anzumelden, müssten 100 % der aktiven Geräte mit dem Internen Wlan verbunden sein und das Gast-WLAN wäre dauerhaft komplett leer. Dann kann mans auch gleich komplett abschalten.

 

[C4rp3di3m]

Wenn es um die Missionsdaten geht frage ich mich wozu die überhaupt Geheim gehalten werden bzw. nicht alles immer komplett offen gelegt wird. Was die Erkundung und Erforschung des All´s angeht gibt es keinen Grund für Geheimhaltung meiner Meinung nach.

mfg

 

[mambokurt]

Uns ist es im Unternehmen AUSDRÜCKLICH untersagt, fremde Geräte (Access Points, gemanagte Switchtes, Notebooks/PCs, etc.) ins System einzubringen. Warum? Ganz einfach. Weil diese u.a. nicht die Group Policies bezogen haben (läuft über den Domain Controller), oftmals bereits mit Viren, Trojanern usw. befallen sind und bereits mit Software laufen, welche auf Firmengeräten nicht zugelassen ist.

Ich sag das jetzt nicht abschätzig: das ist das verdammte Jpl, da wurden quasi alle Antriebe der Nasa entwickelt und mehr. Jeder User da ist buchstäblich Raketenwissenschaftler und jeder möchte gern seinen Scheiß im Netz haben. Albtraum.
Was mich jetzt höchstens interessiert: wie kamen die auf den Raspi, sprich wurde der da platziert oder haben die ihre Netze nicht getrennt oder ist es so übel dass da Leute Daten im öffentlichen Netz ablegen?
Ich kann mir schon vorstellen dass die User da vor sich selbst geschützt werden müssen weil das alles Blinzler sind, wär halt mal interessant was der Raspi da machen sollte und wer den wie ins Netz gebracht hat...

 

[fruchtgehalt]

Na, wenn das mal kein Honeypot ist. Ich kann mir nicht vorstellen das die NASA so schlampig ist bei der IT-Sicherheit.

Das ist nur weil du dir unter NASA, FBI und wie sie alle heissen vermutlich in etwa das vorstellst was bei uns dazu in Serien kommt.
In Wahrheit arbeiten da natürlich ganz normale Leute, du kannst nicht in jeder Abteilung bis nach ganz unten Professoren und sonstwas hin setzen, die Schwachstelle geht bei der Putzfrau los.

Zudem haben die bei der NASA enorme Geldprobleme, ist wie in jeder anderen Firma oder Behörde, es kostet einfach viel Geld IT-Sicherheit umzusetzen und man beschränkt sich oft aufs Minimum. Sieht man ja ganz gut erfüllen nur 3 von 10 Aspekten, der Rest ist wohl einfach zu teuer. Wie immer.

Und am Ende reicht ein unkompetenter Admin oder Fehler und Booom... siehst ja hier in dem Fall ganz gut, hat einer nen Pi angeschlossen ohne Authorisierung.
So etwas darf in so einem Bereich wo es um so viel Geld geht wirklich nicht passieren, selbst bei einfachen IT Dienstleistern ist so etwas nicht zu entschuldigen, aber wundern tut mich das ganz und gar nicht.

 

[pitu]

Was, und keine Schuldzuweisung in Richtung Iran, Nordkorea, Russland, Venezuela und andere Länder in die man mit Lügen gern Einmarschieren möchte um "zurück zu schießen"?
Das wundert mich aber.

es war Trump!

die sollten sich mal lieber in die Area51 reinhacken und paar Details zu Marsmissionen und ET preisgeben.

 

[Palomino]

Wow, in meiner Firma muss ich für die Nutzung eines USB Sticks mit Antrag, Begründung durch Vorgesetzte und Genehmigung weiterer Vorgesetzter einen wahren Marathon veranstalten, dass mir die Lust und der Sinn nach der Nutzung des Sticks vergeht.
Und bei der NASA kann man einfach mal so einen ungeschützten Rasberry ins Netzwerk einbinden. Da ist jede Zwei Mann Klitsche schlauer, wenn sich einer de Beiden mal eine Stunde mit den Grundlagen der IT Sicherheit beschäftigt hat.

 

[TrueAzrael]

Was ist, wenn der PI genutzt wird, um Raketen zu maipulieren?
Selbstzerstörung via Remote deaktivieren und das Ding über bewohntem Gebiet ausmachen.
Den Rest kann man sich denken. Ist jetzt evtl der Worst Case, aber davon sollte man doch ausgehen.

Zwischen einen Pi Hacken und ein paar Daten abgreifen und einem Zugriff auf Launchcontrol etc. wird wohl auch bei der NASA noch ein kleiner Unterschied sein.

Edit: Im übrigen kein großes Wunder, wenn man einer Abteilung über Jahre hinweg die Mittel streicht, dann wird halt bei den Dingen die für gewöhnlich unbemerkt laufen und erst auffallen wenn was schief geht, als erstes gespart. Da gehört eben die IT dazu. Vermutlich wurde die Wartung der genannten Datenbank bei Sparmaßnahmen an extern vergeben und Huawei hat die Ausschreibung gewonnen oder so...

 

[Corros1on]

Wichtiger als die Erkenntnis das es nen ungesicherten Rechner gab ist, daraus die richtigen Konsequenzen zu ziehen damit es nicht wieder passiert.

Naja, man hätte auch von alleine darauf kommen können, dass ein nicht speziell gesichertes Gerät in einem Netzwerk nix verloren bevor Hacker Daten abgreifen konnten.

I know, so etwas kommt nicht über Nacht.

Trotzdem kann man ihn nicht für die Verfehlungen/Versagen seiner Vorgänger verantwortlich machen.

Ich kann durchaus verstehen, wenn man unbeliebten Personen gerne alles in die Schuhe schieben möchte auch das wofür sich nichts können.
Aber in meinen Augen ist es gerade bei dieser Situation um so wichtiger einen kühlen Kopf zu bewahren und sachlich zu bleiben.

Außerdem sollte doch mittlerweile klar sein, dass einem Hr. Trump und seinen Anhänger Diffamierung, Beleidigungen und genauso polemische Berichterstattung herzlich egal sind bzw. sogar eine Bestätigung darin sehen das Richtige zu tun.

 

[DocRockem]

wer diese Räuberpistole glaubt.....

 

[Xood]

Das ist ja ganz merkwürdig. Wie kann denn ein Gerät einfach so Zugriff ins Intranet und Internet haben.
Bei mir zu Hause haben alle neuen Geräte weder intern noch extern Zugriff. Beides muss ich explizit freischalten.
So in etwa würde ich mir das, nur noch viel ausgereifter, bei Firmen vorstellen.

 

[Fragger911]

Trotzdem kann man ihn nicht für die Verfehlungen/Versagen seiner Vorgänger verantwortlich machen.

Ich schieb' ihm doch nicht ALLE Verfehlungen seiner Vorgänger in die Tasche, gar nicht genug Platz dort bei all dem Mist den er auf dem Kerbholz hat.
Donald ist mit seinem Typus halt keine echte Hilfe, den aufgetürmten Berg an Problemen (auch seiner Vorgänger) abzutragen.

Das meinte ich.

 

[zett0]

Was ist denn mit „ungesicherter Einplatinencomputer vom Typ Raspberry Pi als Einstieg“ gemeint? Wie sind denn die Hacker vorgegangen?

Einen im Netzwerk hängenden Pi mittels unattended-upgrades aktuell zu halten bekommt wohl jeder Hobbybastler hin.

 

[blackraven]

Darf ich raten, es waren die Russen wie üblich

Oder China oder der Iran. Nord Korea ist ja jetzt BFF.


@Topic
Daten über Marsmissionen oder sonstige Missionen bei der NASA sollten sowieso Allgemeingut sein, wozu also Anstrengungen für die IT-Sicherheit unternehmen ...

 

[blaub4r]

Ich hoffe diese Daten werden auch Weltweit veröffentlicht, ich möchte ein paar menschliche Skeletten sehen.

Warum hat man überhaupt damit angefangen das Weltall zu erforschen ?

Für die Wissenschaft ? Nein um die Atomraketen aus dem Weltall auf andere Länder abzufeuern.
NASA ist auch eine militärische Organisation, so wie die russische Roskosmos.

ich glaube dein aluhut ist aus blei. anders kann ich mir das nicht erklären. im all gibt es wirklich so 1-2 nette sachen die uns interessieren. auch 1-2 gefahren die wir im auge halten müssen. dazu ist das ding verdammt scheisse groß. die können nicht mal eben erfolge vermelden. so ist das mit behörden und anderen sachen wo es nur auf einen moment ankommt.

 

[Freejack35]

Im Hintergrund gibt es bei so vielen Firmen und Banken Datenklau der niemals bekannt wird bzw. wo der Deckel drauf gehalten wird.... da sind auch in Deutschland genug dabei wo nur Mist gemacht wird, aber das wird nicht bekannt. Wenn der Nasa mal 500MB geklaut werden geht es aber rund, oder beim Playstation Netzwerk.

Gab es eigentlich einen Bericht zur Software-Panne der Deutschen Bank letzten Monat?

Wichtig ist jetzt, das man auf die Nasa drauf haut das ist elementar... dann kann Donald endlich noch mehr Geld in die Kriegsmaschine stecken, anstatt in die Nasa die schon bedeutend mehr erreicht hat in ihrer Laufbahn als die gesammte Kriegsflotte.